김수키(Kimsuky)에서 만든 악성코드-[KBS 일요진단]질문지

오늘은 2019년 6월 2일~현재 방영 중인 KBS 일요진단에서 나온 것처럼 속이는 [KBS 일요진단]질문지 입니다.
일단은 해당 악성코드는 2023년 작품이기 때문에 매크로로 작성된 것을 확인할 수가 있습니다. 당시에는 매크로가 유행 이서
파일명:[KBS 일요진단]질문지.docx
사이즈:1 MB
MD5:55a46a2415d18093abcd59a0bf33d0a9
SHA-1:791861d050f82471eb5fd32d427ff6d9a2b30854
SHA-256:a2e6e833947a1d5c526c0c2d6943e35bad9cbe22b52a6f7013ab8c1de0aa2d31

악성코드 실행 화면

내용

Microsoft Office
콘텐츠를 불러올 수 없습니다.
호환성문제로 콘텐츠를 올바르게 불러올 수 없습니다.
문제를 해결하시려면, 아래의 조치들을 체크하세요.
✔ Microsoft Office 제품군을 이용하여 문서를 엽니다.
✔ 데트크톱 또는 랩톱 사용
✔ 문서 상단의 "편집사용"버튼을 클릭하시고 "콘텐츠 사용"버튼을 클릭하세요.
이라는것을 볼수가 있으며 콘텐츠 사용을 하면 내부 매크로 가 실행을 하는 구조 입니다.

매크로 에 포함된 C2 주소

분석

1.인터넷 주소
로컬 파일이 아니라 인터넷 주소를 가리키고 있음
2.Target
Target="hxxp://jooshineng(.)com/gnuboard4/adm/img/ghp/up/state(.)dotm"
문서가 열릴 때 Word는 해당 URL에서: state(.)dotm 파일을 가져오려고 시도
하도 오래전에 파일이라서 더는 분석이 안 됨